Força, vazamento e gerador de senhas

Meça a força da senha (entropia e tempo estimado de quebra), verifique com o Have I Been Pwned se ela já apareceu em vazamentos de dados e gere senhas fortes. A força e a geração são calculadas no seu navegador; a verificação de vazamento nunca envia a senha.

A força e a geração são calculadas no seu navegador e não enviam nada. A verificação de vazamento só roda quando você clica no botão e envia apenas os 5 primeiros caracteres do hash SHA-1 da senha, diretamente do seu navegador para o Have I Been Pwned (api.pwnedpasswords.com). Nem a senha nem o hash completo são enviados, e nada passa pelo servidor deste site.

Usar a ferramenta

Envio: O cálculo de força não envia nada
Armazenamento: Não
API externa: Só na verificação de vazamento: 5 caracteres do hash para o HIBP
Alvo: Não se conecta a nenhum alvo externo

Detalhes

O cálculo de força e a geração de senhas acontecem só no seu navegador.
A verificação de vazamento só roda quando você aperta o botão. Seu navegador envia diretamente ao Have I Been Pwned (api.pwnedpasswords.com) apenas os 5 primeiros caracteres do hash SHA-1 da senha e compara os candidatos retornados localmente (k-anonimato). A senha e o hash completo nunca são enviados.
O HIBP recebe esses 5 caracteres e seu endereço IP. Nada passa pelo servidor deste site.
O carregamento da página em si fica no registro de acesso (endereço IP, horário, user agent etc.). As páginas de ferramentas não carregam anúncios nem análise de acesso. Política de privacidade

Verificar a força

Como funciona: só quando você clica no botão, seu navegador calcula o hash SHA-1 da senha e envia ao Have I Been Pwned apenas os 5 primeiros caracteres do hash. A comparação também acontece no navegador, então nem a senha nem o hash completo são enviados, e nada passa pelo servidor deste site. O HIBP recebe esses 5 caracteres e o seu endereço IP.

Para senhas que você já usa, é mais seguro verificá-las no seu gerenciador de senhas ou na verificação integrada do navegador. Como verificar se sua senha vazou / Gerenciadores de senhas são seguros?

Dados: Have I Been Pwned (Pwned Passwords)

Gerar uma senha forte

Comprimento: 20

MaiúsculasDígitosSímbolos

Como usar

1
Digite uma senha acima para ver sua entropia (bits), sua força e o tempo estimado de quebra.
2
Clique em «Verificar em vazamentos» para ver se essa senha aparece no Pwned Passwords do Have I Been Pwned.
3
Use o gerador abaixo para criar e copiar uma senha forte conforme o comprimento e o conjunto de caracteres.
4
Para contas importantes, use uma senha longa gerada + um gerenciador de senhas + autenticação de múltiplos fatores.

Por que importa

A força se resume a comprimento e aleatoriedade (entropia). Palavras reais e substituições (@ por a, etc.) são fáceis de adivinhar e mais fracas do que parecem. O ótimo prático: uma sequência aleatória longa e única por site, e a única coisa que você memoriza é a senha mestra do seu gerenciador.

Perguntas frequentes

QMinha senha é enviada para algum lugar?

A senha nunca é enviada. A força e a geração são calculadas inteiramente no seu navegador. Só quando você clica no botão de verificação de vazamento os 5 primeiros caracteres do hash são enviados ao Have I Been Pwned (veja a próxima pergunta).

QQual a precisão do «tempo de quebra»?

Varia enormemente conforme o hardware do atacante e o hashing, então é apenas uma orientação. Supomos uma força bruta offline rápida (~10 bilhões de tentativas por segundo). A entropia (bits) é a métrica mais objetiva.

QComo funciona a verificação de vazamento e ela é segura?

Ela usa k-anonimato. Seu navegador calcula o hash SHA-1 da senha e envia só os 5 primeiros caracteres; o Have I Been Pwned devolve as centenas de hashes que começam com eles, e seu navegador procura a correspondência localmente. Nem o HIBP nem este site sabem qual senha você verificou. O HIBP recebe esses 5 caracteres e o seu endereço IP. Você pode ver a requisição nas ferramentas de desenvolvedor do navegador (aba Rede).

QSe aparecer «não encontrada», a senha é segura?

Não necessariamente. Só entram vazamentos cujos dados circularam. Uma senha curta ou uma combinação de palavras comuns pode ser adivinhada mesmo sem nunca ter vazado. Veja também o resultado de força e use uma senha longa diferente em cada site.